Gebouwd zodat een agent kan kijken, niet aanraken.

Jij bepaalt de schrijftoegang

Inloggen met Google vraagt in één toestemming om toegang tot Search Console en alleen-lezen toegang tot GA4. Schrijftools bestaan alleen op Pro en Agency: de schrijfmodus gaat aan zodra Google volledige Search Console-toegang verleent, en de workspace-eigenaar kan hem op elk moment uitzetten in Settings. Lid-accounts zijn altijd alleen-lezen, lezers krijgen helemaal geen tools en toegangstokens kunnen alleen-lezen en met een vervaldatum worden aangemaakt. De server controleert de modus bij elk verzoek; een client kan er niet omheen praten.

OAuth, geen secrets die kunnen lekken

Je maakt nooit een Google Cloud-project aan, downloadt geen JSON-sleutel en plakt geen client secret. Claude, ChatGPT, Claude Code en Cursor verbinden via OAuth 2.1 met dynamische clientregistratie en PKCE; de toestemmingspagina is van ons en laat precies zien welke client het vraagt en waar die naartoe terugkeert. Refresh tokens roteren met een kort hergebruikvenster, zodat een verloren response niemand uitlogt.

Rechten worden per verzoek berekend

Elke tool-aanroep wordt getoetst aan je plan, de Google-scopes die je echt hebt verleend, de sleutels die je hebt toegevoegd en, op Agency, de klantgroep van de persoon of het token dat de aanroep doet. Een lid dat aan één klant is toegewezen, kan de property van een andere klant niet bevragen, ook niet indirect: elk argument dat een site selecteert wordt gevalideerd tegen de machtiging, met exacte hostmatching, dus een machtiging voor www.acme.com geeft geen toegang tot sc-domain:acme.com.

Omgang met data

• Tokens en clientsleutels worden versleuteld opgeslagen met AES-256-GCM onder een keyring die rotatie ondersteunt.
• Opgeslagen statistieken uit Search Console, Bing en GA4 zijn gekoppeld aan je workspace en worden daarmee verwijderd. Exporteer alles op elk moment als JSON en CSV via “Settings”.
• Logs van tool-aanroepen bewaren 30 dagen metadata (toolnaam, client, uitkomst) en geen queryresultaten.
• In de gehoste modus worden exports nooit naar de schijf van de server geschreven.
• Het ophalen van je robots.txt en sitemaps voor de site-audit is beveiligd tegen privénetwerken en redirect-trucs.

Operationeel

• HTTPS overal met HSTS; strikte beveiligingsheaders op het dashboard en de API; geen cookies op het MCP-endpoint.
• Rate limits vóór authenticatie op het MCP-endpoint en de webhooks, limieten op gevoelige API-routes en inlogblokkades.
• Optionele tweefactorauthenticatie (TOTP-authenticator-app, met eenmalige herstelcodes) voor inloggen met e-mail en wachtwoord. Inloggen met Google gebruikt de eigen tweede factor van je Google-account.
• Beveiligingsgebeurtenissen (geweigerde logins, geblokkeerde pogingen tussen tenants, limiettreffers, ongeldige webhookhandtekeningen) worden vastgelegd als één gestructureerde eventstream.
• Versleutelde, geverifieerde databaseback-ups met kopieën op een andere locatie; een schriftelijk incidentresponsplan met een meldingsdoel van 72 uur.
• Dependency-audits, secret scanning en een SBOM draaien bij elke wijziging.

Google API-beleid

Het gebruik van Google-gebruikersdata door GSC Magic volgt het Google API Services User Data Policy, inclusief de Limited Use-vereisten. We gebruiken de data alleen om de functies te leveren die je ziet, we verkopen haar niet en we gebruiken haar niet om modellen te trainen. Details staan in het privacybeleid.

Meld een kwetsbaarheid

Mail naar security@gscmagic.com. We bevestigen binnen 2 werkdagen en delen binnen 5 een beoordeling. Machineleesbare details staan in /.well-known/security.txt.

Vragen